Настоящий документ (далее — «Соглашение») является неотъемлемой частью Лицензионного договора-оферты о предоставлении права использования Платформы «Айва» (далее — «Договор»), размещённого в сети «Интернет» по адресу: https://thewaive.ru/documents/aiva-offer, заключаемого между ООО «Цифровые Интеллектуальные Системы» (далее — «Обработчик») и лицом, принявшим условия Договора (далее — «Оператор»), и устанавливает порядок обработки Обработчиком персональных данных по поручению Оператора.
Соглашение считается заключённым с момента принятия Оператором условий Договора. Термины «Платформа», «Пользователь», «Перечень», «LLM», «Российская LLM» и «Иностранная LLM» используются в значениях, установленных Договором, иные термины — в значениях, установленных Договором и Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «Закон»).
1. ПРЕДМЕТ И СОСТАВ ПОРУЧЕНИЯ
1.1. Оператор в соответствии с ч. 3 ст. 6 Закона поручает Обработчику обработку персональных данных, которые Оператор и Пользователи размещают в Платформе или к которым открывают Платформе доступ через интеграции с информационными системами Оператора.
1.2. Цель обработки — обработка материалов Пользователей с использованием LLM, интеграция Платформы с информационными системами Оператора, техническая поддержка и обеспечение безопасности Платформы. Обработчик не использует персональные данные для обучения LLM.
1.3. Обработчик обрабатывает следующие персональные данные:
а) персональные данные Пользователей: фамилия, имя, отчество; адрес электронной почты; учётные данные и права доступа; сведения о действиях в Платформе (IP-адрес, данные об устройстве и браузере, журналы событий); содержание обращений в техническую поддержку;
б) персональные данные, содержащиеся в файлах, сообщениях, запросах к LLM, ответах LLM и иных материалах Пользователей: фамилия, имя, отчество, контактные данные, сведения о месте работы и должности, а также иные персональные данные, состав которых определяет Оператор. Обработчик не контролирует состав персональных данных в таких материалах.
1.4. Обработчик совершает с персональными данными с использованием средств автоматизации следующие действия: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ) лицам, которым Обработчик поручает обработку персональных данных в соответствии с разделом 3 Соглашения (далее — «Привлечённые лица»), блокирование, удаление, уничтожение. Трансграничная передача персональных данных в поручение не входит.
2. ПРАВА И ОБЯЗАННОСТИ СТОРОН
2.1. Оператор обязан:
2.1.1. обеспечить наличие правовых оснований для обработки персональных данных Обработчиком и Привлечёнными лицами, в том числе согласий субъектов персональных данных, если они требуются;
2.1.2. не размещать в Платформе специальные категории персональных данных и биометрические персональные данные без предварительного согласования с Обработчиком;
2.1.3. не направлять персональные данные в Иностранные LLM и обеспечивать соблюдение этого запрета Пользователями;
2.1.4. обеспечивать безопасность персональных данных в пределах своей зоны ответственности: управлять доступом Пользователей к Платформе и их правами, определять, к каким информационным системам и данным Платформа получает доступ через интеграции, обеспечивать защиту учётных данных Пользователей;
2.1.5. самостоятельно отвечать на запросы и требования субъектов персональных данных и государственных органов, а также уточнять, блокировать и удалять персональные данные средствами Платформы или путём направления запроса Обработчику.
2.2. Обработчик обязан:
2.2.1. соблюдать конфиденциальность персональных данных и требования ч. 5 ст. 18 Закона, а в части, применимой к Обработчику, — требования ст. 18.1 Закона;
2.2.2. в пределах своей зоны ответственности обеспечивать безопасность персональных данных при их обработке в соответствии со ст. 19 Закона;
2.2.3. по запросу Оператора, направленному в период действия Соглашения, в том числе до начала обработки персональных данных, в течение 10 рабочих дней предоставлять документы и иную информацию, подтверждающие принятие мер и соблюдение требований, установленных в соответствии со ст. 6 Закона;
2.2.4. уведомлять Оператора о неправомерной или случайной передаче (предоставлении, распространении, доступе) персональных данных, повлёкшей нарушение прав субъектов персональных данных (ч. 3.1 ст. 21 Закона): о самом факте — не позднее 12 часов с момента его выявления, о результатах внутреннего расследования и о лицах, действия которых стали причиной такого факта (при наличии), — не позднее 48 часов с этого момента. Если такой факт произошёл у Привлечённого лица, сроки исчисляются с момента получения Обработчиком уведомления от Привлечённого лица. Уведомление не означает признания Обработчиком вины.
2.3. Обработчик вправе предоставлять доступ к персональным данным своим работникам и физическим лицам, работающим с Обработчиком по гражданско-правовым договорам, если это необходимо для исполнения Договора, оказания технической поддержки по обращению Оператора, обеспечения безопасности Платформы или исполнения требований законодательства Российской Федерации и указанные лица приняли обязательства о конфиденциальности.
3. ПРИВЛЕЧЁННЫЕ ЛИЦА
3.1. Оператор даёт согласие на поручение обработки персональных данных Привлечённым лицам. Их перечень с указанием наименования и страны обработки данных размещён по адресу: https://thewaive.ru/documents/aiva-subprocessors.
3.2. Об изменении перечня Привлечённых лиц Обработчик уведомляет Оператора не позднее чем за 10 календарных дней до начала обработки персональных данных новым Привлечённым лицом. При несогласии с изменением Оператор вправе отказаться от Договора в одностороннем порядке.
4. ОТВЕТСТВЕННОСТЬ СТОРОН
4.1. Обработчик несёт ответственность перед Оператором в пределах, установленных Договором.
4.2. В соответствии со ст. 406.1 Гражданского кодекса РФ Оператор возмещает Обработчику имущественные потери, которые понесены или неизбежно будут понесены Обработчиком в связи с предъявлением субъектами персональных данных, иными лицами или государственными органами требований к Обработчику или Привлечённым лицам, а также с привлечением Обработчика к ответственности, если это вызвано несоблюдением Оператором или Пользователями законодательства о персональных данных или обязанностей, предусмотренных п. 2.1 Соглашения.
4.3. Размер потерь равен сумме штрафов, компенсаций и иных выплат, которые Обработчик обязан осуществить в связи с обстоятельствами, указанными в п. 4.2 Соглашения, в том числе в пользу Привлечённых лиц, а также расходов на юридические и консультационные услуги. Потери возмещаются в течение 10 рабочих дней с даты получения требования Обработчика с подтверждающими документами.
4.4. Требования субъектов персональных данных и иных лиц, указанные в п. 4.2 Соглашения, Оператор урегулирует своими силами и за свой счёт. По запросу Обработчика Оператор предоставляет документы, необходимые для защиты от требований, указанных в п. 4.2 Соглашения.
5. ЗАКЛЮЧИТЕЛЬНЫЕ ПОЛОЖЕНИЯ
5.1. В течение 30 календарных дней после прекращения Договора Обработчик уничтожает персональные данные, в том числе в резервных копиях, если иное не предусмотрено законодательством РФ. Выгрузка данных до прекращения Договора осуществляется в порядке, установленном Договором.
5.2. Уведомления по Соглашению направляются в порядке, установленном Договором.